Ataques identificados por Kaspersky revelan el uso de una herramienta de código abierto para automatizar acciones maliciosas, comprometer cuentas administrativas y acelerar el avance de los atacantes dentro de las organizaciones.
Kaspersky identificó una serie de ataques recientes contra organizaciones del sector educativo en América Latina y África, en los que los ciberdelincuentes utilizaron inteligencia artificial (IA) para automatizar y acelerar sus acciones dentro de las redes comprometidas. Los especialistas de la compañía analizaron todas las etapas de los ataques, desde el reconocimiento y la exploración inicial de las redes, pasando por el robo de contraseñas y el movimiento lateral entre equipos, hasta la recopilación de datos sensibles, incluido el compromiso de cuentas de administradores con elevados privilegios de acceso. Los ataques se registraron entre septiembre y octubre de 2026.
Para llevar a cabo las intrusiones, los ciberdelincuentes recurrieron a CyberStrikeAI, una herramienta de código abierto para realizar pruebas de seguridad que combina un sistema de control remoto con un modelo de lenguaje de gran tamaño (LLM) basado en inteligencia artificial. Bajo este esquema, el operador humano únicamente establece los objetivos, mientras que el agente de IA se encarga de ejecutar las acciones: selecciona las herramientas más adecuadas, genera los comandos y evalúa los resultados en tiempo real. Un archivo malicioso instalado en el equipo de la víctima ejecuta estas instrucciones y envía las respuestas al servidor controlado por los atacantes.
En uno de los incidentes analizados, los ciberdelincuentes iniciaron el ataque de forma manual, aprovechando una vulnerabilidad en un servidor SQL. Durante esta etapa, recopilaron información y prepararon el entorno para continuar con la intrusión. Tras un intervalo de dos semanas, activaron el programa malicioso vinculado a CyberStrikeAI. A partir de ese momento, el uso de inteligencia artificial permitió a los atacantes obtener el control total del dominio de la red en tan solo tres o cuatro días. Por su parte, la fase final de la operación, que incluyó el movimiento lateral entre equipos, el robo masivo de credenciales y la extracción de bases de datos, se completó en menos de una hora.
La investigación reveló que la inteligencia artificial operaba directamente desde el servidor de los ciberdelincuentes y no desde los equipos de las víctimas. El programa instalado en la red de la institución educativa funcionaba como una herramienta convencional de control remoto, sin establecer conexiones directas con servicios externos de inteligencia artificial.
“La inteligencia artificial cambia drásticamente la velocidad con la que operan los ciberdelincuentes, permitiéndoles tomar decisiones y adaptar sus ataques dentro de las redes en tiempo real. Sin embargo, aunque la IA transforma la rapidez y la manera en que se coordinan las intrusiones, los ataques siguen basándose en técnicas conocidas, como el robo de contraseñas, la exploración de sistemas y la extracción de datos. Esto demuestra que las soluciones de seguridad corporativa correctamente configuradas, enfocadas en detectar comportamientos sospechosos, siguen siendo plenamente eficaces para detener estas amenazas”, destaca Claudio Martinelli, director general para las Américas en Kaspersky.
Los analistas también encontraron comentarios en mandarín dentro del código utilizado en los ataques. Sin embargo, estos indicios no son suficientes para determinar la identidad ni la ubicación real de los responsables. Hasta el momento, Kaspersky no ha atribuido esta actividad a ningún grupo de ciberdelincuentes conocido.
Para ayudar a las organizaciones a protegerse frente a ataques automatizados, Kaspersky recomienda:
- Monitorear el comportamiento de los dispositivos: Utilizar una solución de detección y respuesta en endpoints (EDR), como Kaspersky Next EDR Expert, para investigar comandos sospechosos, intentos de acceso a credenciales y mecanismos utilizados por los atacantes para mantener su presencia en los sistemas.
- Supervisar la actividad en toda la red: Complementar la protección de los equipos con herramientas de monitoreo del tráfico de red, como Kaspersky Anti Targeted Attack, que permitan identificar comunicaciones anómalas entre sistemas y detectar posibles movimientos de los atacantes dentro de la organización.
- Aprovechar la inteligencia de amenazas: Proporcionar a los analistas de seguridad acceso a información actualizada sobre indicadores de riesgo mediante servicios como Kaspersky Threat Intelligence, que facilitan la investigación de archivos sospechosos y posibles infraestructuras maliciosas.
- Mantener la vigilancia fuera del horario laboral: Si la organización no cuenta con personal para supervisar sus sistemas las 24 horas del día, considerar servicios como Kaspersky Managed Detection and Response (MDR), que ofrecen monitoreo continuo, investigación y respuesta ante incidentes de seguridad.
Para consultar la investigación técnica completa, visite Securelist.
